EP0981783A1 - Mikroprozessorsystem für kfz-regelungssysteme - Google Patents

Mikroprozessorsystem für kfz-regelungssysteme

Info

Publication number
EP0981783A1
EP0981783A1 EP98909480A EP98909480A EP0981783A1 EP 0981783 A1 EP0981783 A1 EP 0981783A1 EP 98909480 A EP98909480 A EP 98909480A EP 98909480 A EP98909480 A EP 98909480A EP 0981783 A1 EP0981783 A1 EP 0981783A1
Authority
EP
European Patent Office
Prior art keywords
units
read
systems
central
data processing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP98909480A
Other languages
English (en)
French (fr)
Other versions
EP0981783B1 (de
Inventor
Bernhard Giers
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Continental Teves AG and Co OHG
Original Assignee
Continental Teves AG and Co OHG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Continental Teves AG and Co OHG filed Critical Continental Teves AG and Co OHG
Publication of EP0981783A1 publication Critical patent/EP0981783A1/de
Application granted granted Critical
Publication of EP0981783B1 publication Critical patent/EP0981783B1/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/181—Eliminating the failing redundant component
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
    • G06F11/185—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality and the voting is itself performed redundantly
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24187—Redundant processors run identical programs
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24195—Compare data in channels at timed intervals, for equality
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/26—Pc applications
    • G05B2219/2637—Vehicle, car, auto, wheelchair

Definitions

  • the invention relates to a microprocessor system of the type described in the preamble of the main claim. It is therefore a system for safety-critical regulations, with redundant data processing, with a plurality of central units, which via separate bus systems with read-only memories and read-write memories, with input and output units and with comparators which check the results and / or intermediate results of the data processing for consistency, are connected to a plurality of data processing systems, the central units communicating with one another via the bus systems and executing the same program, and wherein the bus systems are bypassed with one another are connected, which enable the central units to read and process the pending data and commands together.
  • Safety-critical regulations of this type include the control systems which intervene in the brake function of a motor vehicle and which are on the market in large numbers and in great diversity. Examples of this are the anti-lock braking systems (ABS), traction control systems (ASR), driving stability controls (FDR, ASMS), chassis control systems, etc. A failure of such a control system endangers the driving stability of the vehicle.
  • the functionality of the systems is therefore constantly monitored in order to switch off the control system in the event of an error or to switch to a less dangerous state for safety. to be able to switch.
  • Brake systems and motor vehicle control systems are even more critical, in which it is not possible to switch over to a mechanical or hydraulic system if the electronics fail.
  • brake system concepts such as "brake-by-wire", which are likely to become even more important in the future; in such systems, the brake function relies on intact electronics.
  • the input data are likewise fed in parallel to two microcomputers, of which only one, however, carries out the complete, complex signal processing.
  • the second microcomputer is primarily used for monitoring, which is why the input signals can be further processed after processing, time derivations etc. using simplified control algorithms and a simplified control philosophy.
  • the simplified data processing is sufficient to generate signals which, by comparison with those in the complex microprocessor processed signals allow conclusions about the correct operation of the system.
  • a microprocessor system is known from DE 43 41 082 AI, which is provided in particular for the control system of an anti-lock brake system.
  • This known system which can be accommodated on a single chip, contains two central processing units in which the input data are processed in parallel.
  • the fixed value and the read / write memories, which are connected to the two central units, contain additional storage locations for test information and each include a generator for generating test information.
  • the output signals of one of the two central units are further processed to generate the control signals, while the other serves only as a passive central unit for monitoring the active central unit.
  • the present invention is based on the object of designing a microprocessor system of the type mentioned at the outset with at most little additional effort in such a way that an emergency function is possible when an error occurs.
  • the special feature of this system is that there are at least three central units with a total of at least twice the storage capacity compared to the storage capacity required for a non-redundant system, that the central units are expanded by redundant peripheral units to form at least two complete control signal circuits and are interconnected in such a way that in the event of failure of a central unit and / or associated components or if an error occurs in one of the data processing systems by majority decision in an identification level, the faulty central unit can be identified, a transition to an emergency operation Function takes place in which at least one control signal circuit with full memory capacity is available and an output of output signals or control signals is prevented depending on the faulty central unit.
  • redundancy i.e. redundant data processing is not maintained because the occurrence of a further error during a short emergency operation phase is extremely unlikely and because switching off the control is out of the question or would result in a higher security risk.
  • redundancy i.e. redundant data processing is not maintained because the occurrence of a further error during a short emergency operation phase is extremely unlikely and because switching off the control is out of the question or would result in a higher security risk.
  • errors occur after the error source or the intact systems have been identified, the effects of errors are prevented and the control and / or regulation based on the error-free systems and signals is continued.
  • three central units are provided, each with a bus system, and the storage locations in the three central units are arranged in such a way that if one central unit fails, at least the full remaining fixed and read / write memory capacity is available to the other two , whereby all the central units are connected to the memory locations in the read and write direction and to all the input and output units via the bypasses.
  • the total amount of storage space which essentially determines the price of the microprocessor system, is only doubled compared to processing in a non-redundant system, the distribution and allocation of the storage spaces to the individual processors being variable within wide limits; it must be ensured that each individual processor or each individual processor unit can process the full program.
  • the configuration of the microprocessor system according to the invention enables all or the essential components, in particular all central units, memories, the comparators and the bypasses and possibly also the input and output units, to be accommodated on a single chip.
  • These data processing systems advantageously each include a central unit, a bus system and read-only and read-write memories, the memory locations being distributed among the individual data processing systems such that in the event of an error and transition to the emergency operation function, the intact systems have sufficient memory locations for contain the complete data processing and process the complete program.
  • Another embodiment according to the invention is that it is designed for several or a combination of motor vehicle control systems, such as brake-by-wire, ABS, ASR, ASMS, etc., the emergency operation function either detecting the maintenance of the operation of all control systems or is only limited to the maintenance of selected control functions, for example particularly safety-critical functions.
  • motor vehicle control systems such as brake-by-wire, ABS, ASR, ASMS, etc.
  • the figure refers to a one-chip microcomputer system that has three synchronously operated processors or central units 1, 2, 3, which are also used as computers or, because of their Function, referred to as processor cores.
  • a bus system 4, 5, 6 is assigned to each processor.
  • the central units 1, 2, 3 are connected to a synchronous clock supply cl (common clock), which is designed redundantly.
  • the central unit 1 or the processor core 1 is supplemented by a read-only memory 7 (ROM 1), by a read-write memory 8 (RAM 1), by an input and output unit 9 to form a complete data processing system or microcomputer MCI.
  • ROM 1 read-only memory
  • RAM 1 read-write memory
  • peripheral components peripheral 1 are symbolized by an external block 10.
  • the peripheral components include the power supply, the supply of the input signals (e.g. the sensor signals in a motor vehicle control system) and the actuator or valve control etc. using the output data or signals from the data processing systems.
  • a second, incomplete data processing system or a microcomputer MC2 in which the central unit 2 is accommodated, only contains storage spaces for 50% of the data required for a non-redundant system.
  • Fixed value memory locations 12 and memory locations 13 for the data in the read / write area are shown symbolically in the interior of the microcomputer MC2.
  • BUS 1 (bus system 4) and BUS 2 (bus system 5) are connected to one another via a bypass 14.
  • the bypass 14 enables the central unit 1 to read the data stored in the memory locations 12, 13 and allows a data flow from the memories 7, 8 and the processor core 1 of the microcomputer MCI to the microcomputer MC2, in particular to the central unit 2. In this way redundant processing of the complete data processing program by both central units 1, 2 ensures. Still more details on the structure and functioning of such Microprocessor systems can be found in the aforementioned DE 195 29 434 AI.
  • An essential feature of the microprocessor system according to the invention and the embodiment shown in the figure is that the system just described, known from DE 195 29 434 AI, by a further data processing system, namely by a microcomputer MC3, which also works with the incomplete microcomputer MC2 and also interacts with the microcomputer MCI is expanded.
  • a further data processing system namely by a microcomputer MC3, which also works with the incomplete microcomputer MC2 and also interacts with the microcomputer MCI is expanded.
  • part of the functions of this additional microcomputer system (MC3) namely the storage of part of the data, for example 50% of the fixed value and read / write data, is performed by the second microcomputer system MC2 and possibly also by the first system MCI perceived, because the overall system only needs twice the storage capacity to guarantee the redundancy function compared to a non-redundant system that processes the same program.
  • the storage capacity must be distributed among the three data processing systems MCI, MC2, MC3 in such a way that if one system fails, the remaining systems offer sufficient storage space, namely at least 100%.
  • the microprocessor system MCI is equipped with 100%, the two microcomputer systems MC2 and MC3 each with 50% of the memory spaces required for a non-redundant system.
  • the third microcomputer system MC3 is also connected to the (incomplete) microcomputer MC2 by a bypass 16. This bypass has the same function as the bypass 14 already described in detail and therefore also enables the central processing units 2 and 3 to process all input data redundantly.
  • the microprocessor system MC3 contains a read-only memory 17 (ROM 2), a read-write memory 18 (RAM 2), an input and output unit 19 and peripheral components 20 (peripheral 2).
  • MC3 is a complete microcomputer, but for which, as explained above, a reduced storage capacity is sufficient; The capacity of the memories in MC2 and MC3 together is (at least) 100%.
  • the microcomputer MC3 has the same structure and the same components as the microcomputer MCI. Consequently, in the microprocessor system according to the invention, the input and output units 9, 19 and the peripheral components 10, 20, which include the voltage supply, the sensor signal input and the actuator control, are also present twice.
  • the output signals or data processing results of the third microcomputer MC3 are compared using a comparator 22 to match the results or output signals of the microcomputer MC2 or the central unit 2 and in the same way checked with the aid of the comparator 23 for agreement with the results of the MCI or the central unit 1.
  • a comparator 22 to match the results or output signals of the microcomputer MC2 or the central unit 2 and in the same way checked with the aid of the comparator 23 for agreement with the results of the MCI or the central unit 1.
  • the system according to the invention can be implemented with comparatively little production effort.
  • - in comparison to the known system that does not allow emergency operation - adding a processor core and increasing the storage capacity by twice is sufficient.
  • a classic solution with an emergency function would require at least three times the storage effort.
  • error localization in the memory area is also possible via hardware majority decision. If the minimum design of the storage capacity of 200% is selected, an error localization can be seen e.g. Realize by creating checksums via memory blocks or by other software-technical measures.

Abstract

Ein Mikroprozessorsystem für sicherheitskritische Regelungen ist mit drei, gemeinsam auf einem Chip angeordneten Zentraleinheiten (1, 2, 3) ausgerüstet, die das gleiche Programm abarbeiten. Ausserdem sind Festwertspeicher (7, 12, 17) und Schreib-Lese-Speicher (8, 13, 18), Eingabe- und Ausgabeeinheiten (9, 19) und Vergleicher (15, 22, 23) vorhanden, die die Ausgangssignale der Zentraleinheiten (1, 2, 3) auf Übereinstimmung überprüfen. Die Zentraleinheiten (1, 2, 3) sind über Bus-Systeme (4, 5, 6) und über Bypässe (14, 16) untereinander verbunden, die den Zentraleinheiten (1, 2, 3) ein gemeinsames Lesen und Abarbeiten der anstehenden Daten und Befehle nach dem gleichen Programm ermöglichen. Die Speicherkapazität der Festwert- und der Schreib-Lese-Speicher beträgt insgesamt mindestens 200 % im Vergleich zu dem für ein nicht redundantes System benötigten Speicher. Die Speicherplätze sind auf die drei Systeme z.B. im Verhältnis 100:50:50 verteilt. Die Zentraleinheiten (1, 2, 3) sind durch redundante Peripherie-Komponenten (10, 20) zu zwei vollständigen Regelunssignalkreisen erweitert und derart zusammengeschaltet, dass bei einem Ausfall durch Majoritätsentscheid die fehlerhafte Zentraleinheit (1, 2, 3) identifiziert und ein Übergang zu einer Notlauffunktion erfolgen kann.

Description

Mikroprozessorsystem für KFZ-Regelungssysteme
Die Erfindung bezieht sich auf ein Mikroprozessorsystem der im Oberbegriff des Hauptanspruchs beschriebenen Art. Es handelt sich also um ein System für sicherheitskritische Regelungen, mit redundanter Datenverarbeitung, mit mehreren Zentraleinheiten, welche über separate Bus-Systeme mit Festwertspeichern und Schreib-Lesespeichern, mit Eingabe- und Ausgabeeinheiten und mit Vergleichern, die die die Ergebnisse und/oder Zwischenergebnisse der Datenverarbeitung auf Übereinstimmung überprüfen, zu mehreren Datenverarbeitungssystemen verbunden sind, wobei die Zentraleinheiten über die Bus-Systeme miteinander kommunizieren und das gleiche Programm abarbeiten und wobei die Bus-Systeme untereinander durch Bypässe verbunden sind, die den Zentraleinheiten ein gemeinsames Lesen und Abarbeiten der anstehenden Daten und Befehle ermöglichen.
Zu den sicherheitskritischen Regelungen dieser Art zählen u.a. die in die Bremsenfunktion eines Kraftfahrzeugs eingreifenden Regelungssysteme, die in großer Anzahl und großer Vielfalt auf dem Markt sind. Beispiele hierfür sind die An- tiblockiersysteme (ABS), Antriebsschlupfregelungssysteme (ASR), Fahrstabilitätsregelungen (FDR,ASMS), Fahrwerksrege- lungssysteme etc. Ein Ausfall eines solchen Regelungssystems führt zur Gefährdung der Fahrstabilität des Fahrzeugs. Daher wird die Funktionsf higkeit der Systeme ständig überwacht, um beim Auftreten eines Fehlers die Regelung abschalten oder in einen für die Sicherheit weniger gefährlichen Zustand um- schalten zu können. Noch kritischer sind Bremssysteme bzw. Kraftfahrzeug-Regelungssysteme, bei denen bei Ausfall der Elektronik keine Umschaltung auf ein mechanisches oder hydraulisches System möglich ist. Hierzu zählen Bremssystemkonzepte, wie "Brake-by-wire" , die voraussichtlich in der Zukunft noch an Bedeutung gewinnen werden; die Bremsenfunktion ist bei solchen Systemen auf eine intakte Elektronik angewiesen.
Ein Beispiel für ein Microprozessorsystem zur Steuerung und Überwachung einer blockiergeschützten Fahrzeugbremsanlage ist aus der DE 32 34 637 C2 bekannt. Nach dieser Schrift werden die Eingangsdaten zwei identisch programmierten Microcomputern parallel zugeführt und dort synchron verarbeitet. Die Ausgangssignale und Zwischensignale der beiden Microcomputern werden auf Übereinstimmung geprüft. Wenn die Signale voneinander abweichen, wird die Regelung abgeschaltet.
Nach einem anderen bekannten System, nach dem die in der DE 41 37 124 AI beschriebene Schaltung aufgebaut ist, werden die Eingangsdaten ebenfalls zwei Microcomputern parallel zugeführt, von denen jedoch nur einer die vollständige, aufwendige Signalverarbeitung ausführt. Der zweite Microcomputer dient vornehmlich zur Überwachung, weshalb die Eingangssignale nach Aufbereitung, Bildung von zeitlichen Ableitungen etc. mit Hilfe vereinfachter Regelalgorithmen und vereinfachter Regelpilosophie weiterverarbeitet werden können. Die vereinfachte Datenverarbeitung reicht zur Erzeugung von Signalen aus, die durch Vergleich mit den in dem aufwendige- ren Microcomputer verarbeiteten Signalen Rückschlüsse auf den ordnungsgemäßen Betrieb des Systems zulassen.
Aus der DE 43 41 082 AI ist ein Mikroprozessorsystem bekannt, das insbesondere für das Regelsystem einer blockiergeschützten Bremsanlage vorgesehen ist. Dieses bekannte System, das auf einem einzigen Chip untergebracht werden kann, enthält zwei Zentraleinheiten, in denen die Eingangsdaten parallel verarbeitet werden. Die Festwert- und die Schreib-Lese-Speicher, die an die beiden Zentraleinheiten angeschlossen sind, enthalten zusätzliche Speicherplätze für PrüfInformationen und umfassen jeweils einen Generator zur Erzeugung von PrüfInformationen. Die Ausgangssignale eines der beiden Zentraleinheiten werden zur Erzeugung der Steuersignale weiterverarbeitet, während die andere als passive Zentraleinheit lediglich zur Überwachung der aktiven Zentraleinheit dient.
Schließlich ist aus der DE 195 29 434 AI bereits ein System der eingangs genannten Art bekannt, bei dem zwei synchron betriebene Zentraleinheiten auf einem oder auf mehreren Chips vorgesehen sind, die die gleichen Eingangsinformationen erhalten und das gleiche Programm abarbeiten. Die beiden Zentraleinheiten sind dabei über separate Bus-Systeme an die Festwert- und an die Schreib-Lese-Speicher sowie an Eingabe- und Ausgabeeinheiten angeschlossen. Die Bus-Systeme sind untereinander durch Treiberstufen bzw. Bypässe verbunden sind, die den beiden Zentraleinheiten ein gemeinsames Lesen und Abarbeiten der zur Verfügung stehenden Daten und Befehle ermöglichen. Das System ermöglicht eine Einsparung von Speicherplatz. Nur eine der beiden Zentraleinheiten ist (direkt) mit einem vollwertigen Festwert- und einem Schreib-Lese- Speicher verbunden, während die Speicherkapazität des zweiten Prozessors auf Speicherplätze für Prüfdaten (Paritätsüberwachung) in Verbindung mit einem Prüfdatengenerator be schränkt ist. Zugriff zu allen Daten besteht über die Bypä- se. Dadurch sind beide Zentraleinheiten in der Lage, jeweils das vollständige Programm abzuarbeiten.
Alle vorgenannten Systeme beruhen grundsätzlich auf dem Vergleich redundant verarbeiteter Daten und der Erzeugung eines Fehlersignals, wenn Abweichungen auftreten. Beim Auftreten eines Fehlers oder Ausfall eines Systems kann dann die Regelung abgeschaltet werden. In keinem Fall ist eine Notlauf- funktion, nämlich einer Fortsetzung der Regelung nach dem Auftreten des Fehlers, möglich. Eine solche Notlauffunktion wäre grundsätzlich nur durch Verdoppelung der Systeme in Verbindung mit einem Identifizieren und Abschalten der Fehlerquelle denkbar.
Der vorliegenden Erfindung liegt nun die Aufgabe zugrunde, ein Mikroprozessorsystem der eingangs genannten Art mit höchstens geringem Mehraufwand derart auszugestalten, daß beim Auftreten eines Fehlers eine Notlauffunktion möglich wird.
Es hat sich herausgestellt, daß diese Aufgabe durch das im Anspruch 1 beschriebene Mikroprozessorsystem gelöst werden kann. Die Besonderheit dieses Systems besteht darin, daß mindestens drei Zentraleinheiten mit insgesamt mindestens doppelter Speicherkapazität im Vergleich zu der für ein nicht redundantes System benötigten Speicherkapazität vorhanden sind, daß die Zentraleinheiten durch redundante Periphere-Einheiten zu mindestens zwei vollständigen Regelungssignalkreisen erweitert und derart zusammengeschaltet sind, daß bei Ausfall einer Zentraleinheit und/oder zugehöriger Komponenten bzw. beim Auftreten eines Fehlers in einem der Datenverarbeitungssysteme durch Majoritätsentscheidung in einer Identifizierungsstufe die fehlerbehaftete Zentraleinheit identifizierbar ist, ein Übergang in eine Notlauf- funktion erfolgt, in der mindestens ein Regelungssignalkreis mit voller Speicherkapazität zur Verfügung steht und eine Ausgabe von Ausgangssignalen oder Steuersignalen in Abhängigkeit von der fehlerbehafteten Zentraleinheit verhindert wird.
Erfindungsgemäß wird zugunsten eines besonders einfachen Regleraufbaus in bestimmten, seltenen Fällen auf eine Redundanz, d.h. auf eine Aufrechterhaltung der redundanten Datenverarbeitung verzichtet, weil das Auftreten eines weiteren Fehlers während einer kurzen Notlaufphase denkbar unwahrscheinlich ist und weil eine Abschaltung der Regelung nicht infrage kommt oder ein höheres Sicherheitsrisiko zur Folge hätte. Statt dessen werden beim Auftreten von Fehlern nach dem Identifizieren der Fehlerquelle bzw. der intakten Systeme die Auswirkungen von Fehlern unterbunden und die Steuerung und/oder Regelung auf Basis der fehlerfreien Systeme und Signale fortgesetzt.
Nach einem vorteilhaften Ausführungsbeispiel der Erfindung sind drei Zentraleinheiten mit je einem Bus-System vorgesehen und die Speicherplätze in den drei Zentraleinheiten derart verteilt angeordnet, daß bei Ausfall einer Zentraleinheit den beiden übrigen insgesamt mindestens die volle Festwert- und Schreib-Lese-Speicherkapazität zur Verfügung steht, wobei über die Bypässe alle Zentraleinheiten mit den Speicherplätzen in Schreib- und Leserichtung und mit allen Eingabe- und Ausgabeeinheiten verbunden sind.
Als besonders zweckmäßig hat es sich dabei erwiesen, eine Zentraleinheit mit der vollen (100%), die beiden anderen mit jeweils mindestens 50% der für ein nicht redundantes System benötigten Festwert- und Schreib-Lese-Speicherkapazität auszurüsten. Die Erfindung geht gewissermaßen von dem vorgenannten, aus der DE 195 29 434 AI bekannten System aus, das im Prinzip aus einem vollständigen und einem unvollständigen Datenverarbeitungssystem besteht, und erweitert dieses System durch ein zusätzliches, vollständiges Datenverarbeitungssystem mit den zugehörigen Peripherie-Einheiten. Auf diese Weise entstehen zwei vollständige Regelungssignalkreise oder Regelungssignalverarbeitungssysteme, die zu einem notlauffähigen Gesamtsystem zusammengeschaltet sind, das auch bei Ausfall eines Prozessors und Identifizieren der Fehlerquelle eine Aufrechterhaltung der Regelung erlaubt. Durch die erfindungsgemäße Zusammenschaltung der einzelnen Systeme oder Komponenten wird bei Ausfall eines Prozessors eine Fortsetzung der Steuerung und Regelung durch Einsatz der intakten Kreise möglich.
Der Gesamtaufwand an Speicherplätzen, der wesentlich den Preis des Mikroprozessorsystems bestimmt, wird im Vergleich zu einer Verarbeitung in einem nicht redundanten System lediglich verdoppelt, wobei die Aufteilung und Zuordnung der Speicherplätze zu den einzelnen Prozessoren in weiten Grenzen variabel ist; es muß sichergestellt sein, daß jeder einzelne Prozessor bzw. jede einzelne Prozessoreinheit das volle Programm abarbeiten kann.
Die erfindungsgemäße Ausgestaltung des Mikroprozessorsystems ermöglicht die Unterbringung aller oder der wesentlichen Komponenten, insbesondere sämtlicher Zentraleinheiten, Speicher, der Vergleicher und der Bypässe sowie ggf. auch der Eingabe- und Ausgabeeinheiten, auf einem einzigen Chip.
Die drei Zentraleinheiten bilden zusammen mit den Speichern, mit den Eingabe- und Ausgabeeinheiten und mit den Peripherie-Einheiten, einschließlich der Spannungsversorgung etc., insgesamt zwei vollständige und ein unvollständiges Datenverarbeitungssystem; die für einen vollständigen Programmablauf benötigten Speicherplätze sind auf die Datenverarbeitungssysteme aufgeteilt. Diese Datenverarbeitungss- systeme umfassen vorteilhafterweise jeweils eine Zentraleinheit, ein Bus-System sowie Festwert- und Schreib-Lese- Speicher, wobei die Speicherplätze derart auf die einzelnen Datenverarbeitungssysteme verteilt sind, daß beim Auftreten eines Fehlers und Übergang zur Notlauffunktion die intakten Systeme ausreichend Speicherplätze für die komplette Datenverarbeitung enthalten und das komplette Programm abarbeiten.
Ein weiteres Ausführungsbeispiel nach der Erfindung besteht darin, daß dieses für mehrere oder eine Kombination von Kraftfahrzeug-Regelungssystemen, wie Brake-by-wire, ABS, ASR, ASMS etc., ausgelegt ist, wobei die Notlauffunktion entweder die Aufrechterhaltung des Betriebs aller Regelungssysteme erfaßt oder nur auf die Aufrechterhaltung ausgewählter Regelungsfunktionen, zum Beispiel besonders sicherheitskritischer Funktionen, beschränkt ist.
In den Unteransprüchen sind noch weitere vorteilhafte Ausführungsbeispiele beschrieben.
Aus der beigefügten Abbildung, welche in schematisch vereinfachter Darstellung die wesentlichen Komponenten eines Mikroprozessorsystems nach der Erfindung wiedergibt, und aus der nachfolgenden Beschreibung gehen weitere Einzelheiten der Erfindung hervor. Diese Abbildung dient zur Erläuterung des prinzipiellen Aufbaus und der Wirkungsweise eines Auεführungsbeispiels der Erfindung.
Die Abbildung bezieht sich auf ein Ein-Chip-Mikrocomputer- system, das drei synchron betriebene Prozessoren oder Zentraleinheiten 1,2,3, die auch als Rechner- oder, wegen ihrer Funktion, als Prozessorkerne bezeichnet werden. Jedem Prozessor ist ein Bus-System 4,5,6 zugeordnet. Die Zentraleinheiten 1,2,3 sind an eine synchrone Taktversorgung cl (common clock), die redundant ausgelegt ist, angeschlossen.
Die Zentraleinheit 1 bzw. der Prozessorkern 1 ist durch einen Festwertspeicher 7 (ROM 1), durch einen Schreib-Lese- Speicher 8 (RAM 1), durch eine Eingabe- und Ausgabeeinheit 9 zu einem vollständigen Datenverarbeitungssystem oder Mikrocomputer MCI ergänzt. Die notwendigen Peripheriekomponenten (Peripherie 1) sind durch einen externen Block 10 symbolisiert. Zu den Peripheriekomponenten zählen die Spannungsversorgung, die Zuführung der Eingangssignale (z.B. der Sensorsignale bei einem KFZ-Regelungssystem) und die Aktuator- oder Ventilansteuerung etc. mit Hilfe der Ausgangsdaten oder -Signale der Datenverarbeitungssysteme.
Ein zweites, unvollständiges Datenverarbeitungssystem oder ein Mikrocomputer MC2, in dem die Zentraleinheit 2 untergebracht ist, enthält im wiedergegebenen Ausführungsbeispiel lediglich Speicherplätze für 50% der für ein nicht redudan- tes System benötigten Daten. Symbolisch dargestellt sind im Inneren des Mikrocomputers MC2 Festwertspeicherplätze 12 und Speicherplätze 13 für die Daten im Schreib-Lese-Bereich.
Über einen Bypass 14 sind BUS 1 (Bus-System 4) und BUS 2 (Bus-System 5) miteinander verbunden. Der Bypass 14 ermöglicht der Zentraleinheit 1 ein Lesen der in den Speicherplätzen 12, 13 gespeicherten Daten und gestattet einen Datenfluß von den Speichern 7,8 und dem Prozessorkern 1 des Mikrocomputers MCI zu dem Mikrocomputer MC2 , insbesondere zu der Zentraleinheit 2. Auf diese Weise ist ein redundantes Abarbeiten des vollständigen Datenverarbeitungs-Programms durch beide Zentraleinheiten 1,2 gewährleistet. Noch weitere Einzelheiten zu dem Aufbau und der Funktionsweise solcher Mikroprozessorsysteme sind der vorgenannten DE 195 29 434 AI zu entnehmen.
Die Datenverarbeitungs-Ergebnisse beider Systeme MCI, MC2 bzw. Prozessoren 1,2 werden, wie ebenfalls in der vorgenannten Schrift erläutert ist, mit Hilfe eines Vergleichers 15 auf Übereinstimmung überwacht; es ist ein unmittelbarer Vergleich der Ausgangssignale beider Prozessoren mit Hilfe eines Hardware-Vergleichers 15 vorgesehen.
Ein wesentliches Merkmal des Mikroprozessorsystems nach der Erfindung und des in der Abbildung dargestellten Ausführungsbeispiels besteht nun darin, daß das eben beschriebene, aus der DE 195 29 434 AI bekannte System durch ein weiteres Datenverarbeitungssystem, nämlich durch einen Mikrocomputer MC3, der ebenfalls mit dem unvollständigen Mikrocomputer MC2 und auch mit dem Mikrocomputer MCI zusammenwirkt, erweitert ist. Ein Teil der Funktionen dieses zusätzlichen Mikrocomputersystems (MC3), nämlich das Speichern eines Teils der Daten, z.B. von 50% der Festwert- und der Schreib-Lese-Daten, wird allerdings von dem zweiten Mikrocomputersystem MC2 und ggf. auch von dem ersten System MCI wahrgenommen, weil das Gesamtsystem für die Gewährleistung der Redundanzfunktion insgesamt nur die doppelte Speicherkapazität im Vergleich zu einem nicht redundanten, das gleiche Programm abarbeitenden System benötigt. Die Speicherkapazität muß dabei auf die drei Datenverarbeitungssysteme MCI, MC2, MC3 derart verteilt werden, daß bei Ausfall eines Systems die verbleibenden Systeme einen ausreichenden Speicherplatz, nämlich mindestens 100%, bieten. In einen bevorzugten Ausführungsbeispiel sind das Mikroprozessorsystem MCI mit 100%, die beiden Mikrocomputersysteme MC2 und MC3 mit jeweils 50% der für ein nicht redundantes System benötigten Speicherplätze ausgerüstet. Das dritte Mikrocomputersystem MC3 ist mit dem (unvollständigen) Mikrocomputer MC2 ebenfalls durch einen Bypass 16 verbunden. Dieser Bypass hat die gleiche {Funktion wie der bereits eingehend beschriebene Bypass 14 und ermöglicht daher auch den Zentraleinheiten 2 und 3 die redundante Verarbeitung aller Eingangsdaten.
Das Mikroprozessorsystem MC3 enthält einen Festwertspeicher 17 (ROM 2), einen Schreib-Lese-Speicher 18 (RAM 2), eine Eingabe- und Ausgabeeinheit 19 und Peripherie-Komponenten 20 (Peripherie 2). MC3 ist im dargestellten Ausführungsbeispiel ein vollständige Mikrocomputer, für den allerdings, wie zuvor erläutert, eine reduzierte Speicherkapazität genügt; die Kapazität der Speicher in MC2 Und MC3 beträgt zusammen (mindestens) 100%.
Über die Bypässe 14,16 ist ein Datenfluß in beiden Richtungen vom BUS 1 (Bus-System 4) zum BUS 3 (Bus-System 6) gegeben. Zur weiteren Erhöhung der Ausfallsicherheit könnte es eventuell sinnvoll sein, über einen zusätzlichen Bypass, der nicht dargestellt ist, eine direkte Verbindung zwischen diesen beiden Bus-Systemen 4,6 (BUS 1 und BUS 3) herzustellen.
Der Mikrocomputer MC3 besitzt hier den gleichen Aufbau und die gleichen Komponenten wie der Mikrocomputer MCI. Folglich sind bei dem erfindungsgemäßen Mikroprozessorsystem auch die Eingabe- und Ausgabeeinheiten 9,19 und die Peripherie-Komponenten 10, 20, zu denen die Spannungsversorgung, der Sensorsignaleingang und die Aktuatoransteuerung zählen, zweimal vorhanden.
Die Ausgangssignale oder Datenverarbeitungsergebnisse des dritten Mikrocomputers MC3 werden mit Hilfe eines Veigleichers 22 auf Übereinstimmung mit den Ergebnissen oder Ausgangssignalen des Mikrocomputers MC2 bzw. der Zentraleinheit 2 sowie in gleicher Weise mit Hilfe des Vergleichers 23 auf Übereinstimmung mit den Ergebnissen des MCI bzw. der Zentraleinheit 1 überprüft. Dadurch ist nicht nur eine Fehlererkennung, sondern auch eine Identifizierung des Systems, in dem der Fehler liegt, möglich. In einer Identifizierungs- Stufe 24, die vorzugsweise redundant ausgeführt ist und der die Ausgangssignale der Vergleicher 15,22,23 zugeleitet werden, wird durch eine Majoritätsentscheidung die Fehlerquelle erkannt und daraufhin das System auf eine Notlauffunktion umgeschaltet. Dies bedeutet, daß die Ausgabe von Steuersignalen in Abhängigkeit von den fehlerhaften Datenverarbeitungsergebnissen verhindert und statt dessen auf das intakte System umgeschaltet wird.
Das erfindungsgemäße System läßt sich mit vergleichsweise geringem Herstellungsaufwand realisieren. Im Prinzip genügt - im Vergleich zu dem bekannten System, das keinen Notlauf zuläßt - das Hinzufügen eines Prozessorkerns und die Erhöhung der Speicherkapazität auf das Doppelte. Eine klassische Lösung mit Notlauffunktion würde mindestens den dreifachen Speicheraufwand erfordern.
Wird die Speicherkapazität um einige Speicherplätze im Vergleich zu dem Minimalwert von 200% erhöht, z.B. um Speicherplätze für je ein Paritätsbit, ist eine Fehlerlokalisierung im Speicherbereich auch über Hardware-Majoritätsentscheid möglich. Wird die Minimalauslegung der Speicherkapazität von 200% gewählt, läßt sieht eine Fehlerlokalisierung z.B. durch Quersummenbildung über Speicherblöcke oder durch andere software-technische Maßnahemen realisieren.
Die mit Hilfe der erfindungsgemäßen Auslegung erreichte Reduzierung der Speicherkapazität im Vergleich zu den bekannten Systemen ist ein entscheidender Vorteil, weil die Kosten des Gesamtsystems maßgeblich von der Größe der Arbeitsspeicher (Festwert- und Schreib-Lese-Speicher) bestimmt werden.
Der Aufwand für die Vergleicher 15, 22, 23, die eine Identitätsüberwachung durchführen, ist minimal. Der Austausch von Signalen zwischen den einzelnen Mikrocomputern über die By- pässe erfordert keinen nennenswerten Aufwand. Programmtechnisch wird eine Software für ein scheinbares Einprozessorsystem realisiert; es werden keine Softwarestrukturen benötigt, die einen Austausch von Signalen zwischen den Mikrocomputern realisieren oder Signale auf Gleichheit oder Ähnlichkeit überprüfen.
Grundsätzlich ist es auch möglich, beim Auftreten eines internen Rechnerfehlers die Übernahme der Eingangsinformation und der Signalausgabe durch den fehlerfreien Kreis durchzuführen bzw. dem fehlerfreien Kreis zu übertragen. Dies führt zu weiteren Vereinfachungen und Systemfunktionen.

Claims

Patentansprüche
1. Mikroprozessorsystem für KFZ-Regelungssysteme, inbesondere für sicherheitskritische Regelungen, mit redundanter Datenverarbeitung , mit mehreren Zentraleinheiten (CPU), die über separate Bus-Systeme mit Festwertspeichern und Schreib-Lesespeichern, mit Eingabe- und Ausgabeeinheiten und mit Vergleichern, die die die Ergebnisse und/oder Zwischenergebnisse der Datenverarbeitung auf Übereinstimmung überprüfen, zu mehreren Datenverarbeitungssystemen verbunden sind, wobei die Zentraleinheiten über die Bus-Systeme miteinander kommunizieren und das gleiche Programm abarbeiten und wobei die Bus- Systeme untereinander durch Bypässe verbunden sind, die den Zentraleinheiten ein gemeinsames Lesen und Abarbeiten der anstehenden Daten und Befehle ermöglichen, dadurch gekennzeichnet, daß mindestens drei Zentraleinheiten (1,2,3) mit insgesamt mindestens doppelter Speicherkapazität im Vergleich zu der für ein nicht redundantes System benötigten Speicherkapazität vorhanden sind, daß die Zentraleinheiten (1,2,3) durch redundante Periphere- Einheiten (10,20) zu mindestens zwei vollständigen Regelungssignalkreisen erweitert und derart zusammengeschaltet sind, daß bei Ausfall einer Zentraleinheit (1,2,3) und/oder einer zugehörigen Komponente bzw. beim Auftreten eines Fehlers in einem der Datenverarbeitungssysteme durch Majoritätsentscheidung in einer Identifizierungsstufe (24) die fehlerbehaftete Zentraleinheit (1,2,3) identifizierbar ist, ein Übergang in eine Notlauffunktion erfolgt, in der mindestens ein Regelungssignalkreis mit voller Speicherkapazität zur Verfügung steht und eine Ausgabe von Ausgangssignalen oder Steuersignalen in Abhängigkeit von der fehlerbehafteten Zentraleinheit verhindert wird. Mikroprozessorsystem nach Anspruch 1 , dadurch gekennzeichnet, daß drei Zentraleinheiten (1,2,3) mit je einem Bus-System (4,5,6) vorgesehen sind und daß die Speicherplätze in den drei Zentraleinheiten (1,2,3) derart verteilt angeordnet sind, daß beim Auftreten eines Fehlers in einem der Datenverarbeitungssysteme (MC1,MC2 ,MC3 ) oder bei Ausfall einer Zentraleinheit den beiden übrigen insgesamt mindestens die volle Festwert- und Schreib- Lese-Speicherkapazität (7,12,17; 8,13,18) zur Verfügung steht, wobei über die Bypässe (14,16) alle Zentraleinheiten (1,2,3) mit den Speicherplätzen in Schreib- und Leserichtung und mit allen Eingabe- und Ausgabeeinheiten (9,10) verbunden sind.
Mikroprozessorsystem nach Anspruch 2, dadurch gekennzeichnet, daß eine Zentraleinheit (1,2,3) mit der vollen, die beiden anderen mit jeweils mindestens 50% der für ein nicht redundantes System benötigten Festwert- und Schreib-Lese-Speicherkapazität ausgerüstet sind.
Mikroprozessorsystem nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß die drei Zentraleinheiten (1,2,3) zusammen mit den Speichern (7,8,12,13,17,18), mit den Eingabe- und Ausgabeeinheiten (9,10) und mit den Peripherie-Komponenten (10,20) insgesamt zwei vollständige und ein unvollständiges Datenverarbeitungssystem bilden.
Mikroprozessorsystem nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß den Vergleichern (15,22,23) jeweils die Datenverarbeitungsergebnisse bzw. Ausgangssignale von zwei Zentraleinheiten (1,2,3) zuführbar sind. Mikroprozessorsystem nach einem oder mehreren der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß zumindest die Zentraleinheiten (1,2,3) mit den Bus-Systemen (4,5,6), die Speicher (7,8,12,13,17,18), die Bypässe (14,16), die Eingabe- und Ausgabeeinheiten (9,19), Vergleicher (15,22,23) und Identifizierungsstufen (24) auf einem gemeinsamen Chip angeordnet sind.
Mikroprozessorsystem nach einem oder mehreren der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß dieses für mehrere oder eine Kombination von Kraftfahrzeug-Regelungssystemen, wie Brake-by-wire, ABS, ASR, ASMS etc., ausgelegt ist und daß die Notlauffunktion die Aufrechterhaltung des Betriebs aller Regelungssysteme erfaßt.
Mikroprozessorsystem nach einem oder mehreren der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß dieses für mehrere oder eine Kombination von Kraftfahrzeug-Regelungssystemen ausgelegt ist und daß die Notlauffunktion auf die Aufrechterhaltung des Betriebs ausgewählter Regelungsfunktionen, zum Beispiel besonders sicherheitskritischer Funktionen, beschränkt ist.
EP98909480A 1997-05-16 1998-02-27 Mikroprozessorsystem für kfz-regelungssysteme Expired - Lifetime EP0981783B1 (de)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE19720618A DE19720618A1 (de) 1997-05-16 1997-05-16 Mikroprozessorsystem für Kfz-Regelungssysteme
DE19720618 1997-05-16
PCT/EP1998/001108 WO1998053374A1 (de) 1997-05-16 1998-02-27 Mikroprozessorsystem für kfz-regelungssysteme

Publications (2)

Publication Number Publication Date
EP0981783A1 true EP0981783A1 (de) 2000-03-01
EP0981783B1 EP0981783B1 (de) 2002-06-12

Family

ID=7829696

Family Applications (1)

Application Number Title Priority Date Filing Date
EP98909480A Expired - Lifetime EP0981783B1 (de) 1997-05-16 1998-02-27 Mikroprozessorsystem für kfz-regelungssysteme

Country Status (5)

Country Link
US (1) US6275752B1 (de)
EP (1) EP0981783B1 (de)
JP (1) JP2001525965A (de)
DE (2) DE19720618A1 (de)
WO (1) WO1998053374A1 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8527681B2 (en) 2007-05-25 2013-09-03 Freescale Semiconductor, Inc. Data processing system, data processing method, and apparatus

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19742988C1 (de) * 1997-09-29 1999-01-28 Siemens Ag Bremsanlage für ein Kraftfahrzeug
DE10006206A1 (de) 2000-02-11 2001-08-30 Daimler Chrysler Ag Elektronisches Steuersystem
DE10008434A1 (de) * 2000-02-23 2001-09-20 Phoenix Contact Gmbh & Co Verfahren und Vorrichtung zur Sicherheitsüberwachung einer Steuereinrichtung
GB2360856B (en) * 2000-03-30 2004-06-23 Llanelli Radiators Ltd Intelligent control unit
DE10064673B4 (de) 2000-12-22 2005-02-24 Renk Ag Fehlertolerante elektromechanische Stelleinrichtung
US7243326B2 (en) * 2001-01-19 2007-07-10 Continental Teves Ag & Co, Ohg Client-specific circuit board with isolated redundant systems
US7019632B2 (en) * 2001-08-13 2006-03-28 George Stuart Cole Vehicle braking signal system with varying area display
DE20205496U1 (de) * 2002-04-10 2003-05-22 Brose Fahrzeugteile Türsteuergerät
CN1792052B (zh) * 2003-05-20 2011-04-13 Nxp股份有限公司 时间触发的通信系统以及用于同步双信道网络的方法
DE102004008895A1 (de) * 2004-02-24 2005-09-08 Robert Bosch Gmbh System zum Steuern und/oder zum Regeln von Fahrerassistenzsystemen sowie hierauf bezogenes Verfahren
DE102004046288A1 (de) * 2004-09-24 2006-03-30 Robert Bosch Gmbh Verfahren zur Abarbeitung eines Computerprogramms auf einem Computersystem
DE102004046611A1 (de) * 2004-09-25 2006-03-30 Robert Bosch Gmbh Verfahren zur Abarbeitung eines Computerprogramms auf einem Computersystem
DE102005034161B3 (de) * 2005-07-21 2006-10-12 Siemens Ag Elektronische Vorrichtung
DE102006036384A1 (de) * 2005-08-11 2007-03-29 Continental Teves Ag & Co. Ohg Mikroprozessorsystem zur Steuerung bzw. Regelung von zumindest zum Teil sicherheitskritischen Prozessen
US7577870B2 (en) * 2005-12-21 2009-08-18 The Boeing Company Method and system for controlling command execution
US8127192B2 (en) * 2007-07-18 2012-02-28 International Business Machines Corporation Predicting lwarx and stwcx instructions in test pattern generation and simulation for processor design verification/validation in interrupt mode
US7747908B2 (en) * 2007-07-18 2010-06-29 International Business Machines Corporation System and method for creating different start cache and bus states using multiple test patterns for processor design verification and validation
US7661023B2 (en) * 2007-07-18 2010-02-09 International Business Machines Corporation System and method for verification of cache snoop logic and coherency between instruction & data caches for processor design verification and validation
US7647539B2 (en) * 2007-07-18 2010-01-12 International Business Machines Corporation System and method of testing using test pattern re-execution in varying timing scenarios for processor design verification and validation
US7689886B2 (en) * 2007-07-18 2010-03-30 International Business Machines Corporation System and method for predicting lwarx and stwcx instructions in test pattern generation and simulation for processor design verification and validation
US7739570B2 (en) * 2007-07-18 2010-06-15 International Business Machines Corporation System and method for increasing error checking performance by calculating CRC calculations after multiple test patterns for processor design verification and validation
DE102007045398A1 (de) * 2007-09-21 2009-04-02 Continental Teves Ag & Co. Ohg Integriertes Mikroprozessorsystem für sicherheitskritische Regelungen
US8650440B2 (en) * 2008-01-16 2014-02-11 Freescale Semiconductor, Inc. Processor based system having ECC based check and access validation information means
DE102008026574A1 (de) 2008-05-30 2009-12-10 Siemens Aktiengesellschaft Steuerungssystem, Steuerrechner sowie Verfahren zum Betreiben eine Steuerungssystems
US8185694B2 (en) * 2008-07-25 2012-05-22 International Business Machines Corporation Testing real page number bits in a cache directory
DE102011080989B4 (de) * 2011-08-16 2013-12-12 Mtu Friedrichshafen Gmbh Steuereinrichtung für ein Einspritzsystem, Einspritzsystem mit einer Brennkraftmaschine und Notstromaggregat
DE102011084569B4 (de) * 2011-10-14 2019-02-21 Continental Automotive Gmbh Verfahren zum Betreiben eines informationstechnischen Systems und informationstechnisches System
DE102015218898A1 (de) * 2015-09-30 2017-03-30 Robert Bosch Gmbh Verfahren zur redundanten Verarbeitung von Daten
DE202016007417U1 (de) * 2016-12-03 2018-03-06 WAGO Verwaltungsgesellschaft mit beschränkter Haftung Steuerung Redundanter Verarbeitungseinheiten
DE102017210151A1 (de) * 2017-06-19 2018-12-20 Zf Friedrichshafen Ag Vorrichtung und Verfahren zur Ansteuerung eines Fahrzeugmoduls in Abhängigkeit eines Zustandssignals

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR7539E (fr) 1907-08-21 Electriques A Incandescence Dispositif perfectionné de lampes à incandescence à filaments métalliques
DE2041041B2 (de) 1970-08-18 1972-05-04 Siemens Ag Datenverarbeitungsanordnung mit mehreren datenverarbeitungsanlagen, insbesondere zur abwicklung von vermittlungsvorgaengen in der fernsprechtechnik
JPS5810246A (ja) 1981-07-13 1983-01-20 Nissan Motor Co Ltd 車両用ディジタル制御装置
DE3209718A1 (de) 1982-03-17 1983-09-29 M.A.N. Maschinenfabrik Augsburg-Nürnberg AG, 8000 München Funktionssichere steuereinrichtung
DE3225455C2 (de) 1982-07-07 1986-07-17 Siemens AG, 1000 Berlin und 8000 München Verfahren zum sicheren Betrieb eines redundanten Steuersystems
DE3234637A1 (de) * 1982-09-18 1984-03-22 Alfred Teves Gmbh, 6000 Frankfurt Verfahren und schaltungsanordnung zur steuerung einer bremsschlupfregelanlage
GB2237904B (en) 1984-02-28 1991-10-02 Lucas Ind Plc Digital control system
DE3433778A1 (de) 1984-09-14 1986-03-27 Robert Bosch Gmbh, 7000 Stuttgart Verfahren zur seriellen datenuebertragung in einem steuergeraet fuer brennkraftmaschinen
US4672530A (en) 1984-12-17 1987-06-09 Combustion Engineering, Inc. Distributed control with universal program
JPS61212653A (ja) 1985-03-18 1986-09-20 Honda Motor Co Ltd 内燃エンジンの電子制御装置
DE3725750A1 (de) 1987-08-04 1989-02-23 Vdo Schindling Mehrprozessorsystem mit wenigstens zwei prozessoren zur erzeugung gleicher oder nahezu gleicher ausgangssignale
FR2632748B1 (fr) 1988-06-14 1994-04-29 Alsthom Dispositif de traitement de donnees et de commande
DE4002389A1 (de) 1989-05-02 1990-11-08 Bosch Gmbh Robert Kraftstoffzumesssystem mit redundanter regeleinrichtung
US5086499A (en) * 1989-05-23 1992-02-04 Aeg Westinghouse Transportation Systems, Inc. Computer network for real time control with automatic fault identification and by-pass
GB2241123B (en) * 1990-02-16 1993-09-29 Teves Gmbh Alfred Circuit arrangement for an anti-lock-controlled vehicle brake system
JPH04133601A (ja) * 1990-09-21 1992-05-07 Toshiba Corp 保安機能付自動運転制御装置
DE4030696A1 (de) 1990-09-28 1992-04-02 Bosch Gmbh Robert Rechnersystem mit zwei prozessoren
DE4124987A1 (de) 1991-07-27 1993-01-28 Bosch Gmbh Robert System zur ansteuerung sicherheitsrelevanter systeme
US5458404A (en) * 1991-11-12 1995-10-17 Itt Automotive Europe Gmbh Redundant wheel sensor signal processing in both controller and monitoring circuits
DE4341082A1 (de) 1993-12-02 1995-06-08 Teves Gmbh Alfred Schaltungsanordnung für sicherheitskritische Regelungssysteme
US5485379A (en) * 1994-07-25 1996-01-16 Kelsey Hayes Company Method and system for detecting the proper functioning of an ABS control unit utilizing substantially identical programmed microprocessors
DE4439060A1 (de) 1994-11-02 1996-05-09 Teves Gmbh Alfred Mikroprozessoranordnung für ein Fahrzeug-Regelungssystem
DE19509150C2 (de) 1995-03-14 2003-03-27 Continental Teves Ag & Co Ohg Verfahren zum Steuern und Regeln von Fahrzeug-Bremsanlagen sowie Fahrzeug-Bremsanlage
DE19529434B4 (de) 1995-08-10 2009-09-17 Continental Teves Ag & Co. Ohg Microprozessorsystem für sicherheitskritische Regelungen

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO9853374A1 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8527681B2 (en) 2007-05-25 2013-09-03 Freescale Semiconductor, Inc. Data processing system, data processing method, and apparatus

Also Published As

Publication number Publication date
DE19720618A1 (de) 1998-11-19
EP0981783B1 (de) 2002-06-12
JP2001525965A (ja) 2001-12-11
DE59804432D1 (de) 2002-07-18
WO1998053374A1 (de) 1998-11-26
US6275752B1 (en) 2001-08-14

Similar Documents

Publication Publication Date Title
EP0976012B1 (de) Mikroprozessorsystem für sicherheitskritische regelungen
EP0981783B1 (de) Mikroprozessorsystem für kfz-regelungssysteme
EP0979189B1 (de) Schaltungsanordnung für ein kraftfahrzeug-regelungssystem
EP0843853B1 (de) Microprozessorsystem für sicherheitskritische regelungen
EP1673667B1 (de) Integriertes mikroprozessorsystem für sicherheitskritische regelungen
EP1456720B1 (de) Mehrkerniges redundantes kontrollrechnersystem, rechnerverbund für sicherheitskritische anwendungen in kraftfahrzeugen sowie dessen verwendung
EP1625061B1 (de) Bremsanlage für fahrzeuge, insbesondere nutzfahrzeuge mit mindestens zwei separaten elektronischen bremssteuerkreisen
EP1032517B1 (de) Elektromechanisches bremssystem
EP0731937B1 (de) Schaltungsanordnung für sicherheitskritische regelungssysteme
DE19634567B4 (de) Elektrisches Bremssystem
EP0915789B1 (de) Mikroprozessoranordnung für ein fahrzeug-regelungssystem
EP1046088B1 (de) Elektronische, digitale einrichtung
WO1996014226A1 (de) Mikroprozessoranordnung für ein fahrzeug-regelungssystem
WO2009152981A1 (de) Bremsanlage und verfahren zum steuern einer fahrzeugbremse
EP1428120A2 (de) Verfahren, mikroprozessorsystem für sicherheitskritische regelungen und dessen verwendung
DE19853036A1 (de) Elektromechanisches Bremssystem
EP1053153B1 (de) Verfahren zur behandlung von fehlern in einem elektronischen bremssystem und zugehörige vorrichtung
DE4219457A1 (de) Rechnersystem
DE102007046706A1 (de) Steuervorrichtung für Fahrzeuge
DE102017212560A1 (de) Verfahren zum ausfallsicheren Durchführen einer sicherheitsgerichteten Funktion
EP1019824B1 (de) Verfahren zum erzeugen eines fehlerkennzeichnungssignals im datenbestand eines speichers und hierzu geeignete einrichtung

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 19991216

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): DE FR GB

17Q First examination report despatched

Effective date: 20000925

GRAG Despatch of communication of intention to grant

Free format text: ORIGINAL CODE: EPIDOS AGRA

GRAG Despatch of communication of intention to grant

Free format text: ORIGINAL CODE: EPIDOS AGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAH Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOS IGRA

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): DE FR GB

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REF Corresponds to:

Ref document number: 59804432

Country of ref document: DE

Date of ref document: 20020718

GBT Gb: translation of ep patent filed (gb section 77(6)(a)/1977)

Effective date: 20020721

ET Fr: translation filed
PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed

Effective date: 20030313

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20130314

Year of fee payment: 16

Ref country code: DE

Payment date: 20130228

Year of fee payment: 16

Ref country code: GB

Payment date: 20130221

Year of fee payment: 16

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 59804432

Country of ref document: DE

GBPC Gb: european patent ceased through non-payment of renewal fee

Effective date: 20140227

REG Reference to a national code

Ref country code: FR

Ref legal event code: ST

Effective date: 20141031

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 59804432

Country of ref document: DE

Effective date: 20140902

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20140227

Ref country code: DE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20140902

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20140228